POPIA: la Ley de Protección de la Información Personal de Sudáfrica

¿Qué es la POPIA? La POPI Act de Sudáfrica explicada

La POPIA, también llamada POPI Act, es la Protection of Personal Information Act 4 of 2013 (Ley de Protección de la Información Personal), la principal ley de protección de datos de Sudáfrica. Sus secciones clave entraron en vigor el 1 de julio de 2020 y, tras un periodo de gracia de un año, el Information Regulator la aplica plenamente desde el 1 de julio de 2021. La POPIA establece cómo cualquier organización recopila, usa, almacena, comparte y elimina información personal en Sudáfrica, incluidos los datos obtenidos a través de sitios web, cookies y correos de marketing.

Esta guía explica a quién se aplica la POPIA, las ocho condiciones para un tratamiento lícito, el consentimiento y el marketing directo, las cookies, los derechos de los interesados, los Information Officers, las transferencias internacionales, la notificación de brechas de seguridad, las sanciones, la comparación con el RGPD y una lista de verificación práctica para sitios web.

La POPIA en resumen

¿A quién se aplica la POPIA?

La POPIA se aplica a cualquier parte responsable que trate información personal y esté domiciliada en Sudáfrica, o que no esté domiciliada en Sudáfrica pero utilice medios automatizados o no automatizados en Sudáfrica para tratarla (salvo que esos medios se usen solo para transmitir información a través del país).

La POPIA utiliza sus propios términos:

• Interesado (data subject): la persona a la que se refiere la información personal.
• Parte responsable (responsible party): el organismo público o privado o la persona que decide la finalidad y los medios del tratamiento (el "responsable del tratamiento" del RGPD).
• Operador (operator): la persona que trata información personal por cuenta de una parte responsable en virtud de un contrato o mandato (el "encargado del tratamiento" del RGPD).
• Information Officer: la persona responsable del cumplimiento de la POPIA dentro de la organización.

También protege a las personas jurídicas

A diferencia del RGPD, la POPIA protege tanto a las personas físicas como a las personas jurídicas, como sociedades y close corporations. En la POPIA, "persona" significa una persona física o jurídica, por lo que la información sobre empresas clientes, proveedores y contactos comerciales también puede estar cubierta por la ley.

Las 8 condiciones para un tratamiento lícito

La POPIA se basa en ocho condiciones. Una parte responsable debe cumplirlas todas siempre que trate información personal.

Bases legales y consentimiento según la POPIA

La sección 11 de la POPIA solo permite tratar información personal si se da alguna de estas bases:

• El interesado (o una persona competente, en el caso de un menor) da su consentimiento.
• El tratamiento es necesario para celebrar o ejecutar un contrato con el interesado.
• El tratamiento cumple una obligación impuesta por la ley.
• El tratamiento protege un interés legítimo del interesado.
• El tratamiento es necesario para que un organismo público cumpla una función de derecho público.
• El tratamiento es necesario para los intereses legítimos de la parte responsable o de un tercero.

La POPIA define el consentimiento como "cualquier manifestación de voluntad libre, específica e informada mediante la cual se autoriza el tratamiento de información personal". La parte responsable soporta la carga de la prueba del consentimiento, y el interesado puede retirarlo en cualquier momento. Por eso los registros fiables de consentimiento son esenciales.

Marketing directo: la sección 69 exige opt-in

La sección 69 prohíbe el marketing directo por comunicación electrónica (correo electrónico, SMS, fax o sistemas de llamada automática) salvo que la persona haya dado su consentimiento o sea un cliente existente.

• Clientes existentes: puede promocionar sus propios productos o servicios similares si obtuvo los datos de contacto en el contexto de una venta y ofreció una forma gratuita y sencilla de darse de baja al recopilarlos y en cada mensaje.
• Todos los demás: solo puede pedir el consentimiento una vez, y solo si la persona no lo ha rechazado antes.
• Cada mensaje debe identificar al remitente e incluir datos de contacto donde el destinatario pueda pedir que dejen de enviarse.

El Reglamento de la POPIA modificado, vigente desde el 17 de abril de 2025, confirma que un opt-out no equivale a consentimiento para el marketing directo mediante comunicaciones electrónicas no solicitadas. El consentimiento puede solicitarse ahora en un formato sustancialmente similar al Formulario 4 prescrito y a través de otros canales como el correo electrónico, los SMS o el teléfono, y las solicitudes telefónicas deben grabarse.

¿Exige la POPIA consentimiento para las cookies?

La POPIA no contiene una norma específica sobre cookies como la Directiva ePrivacy de la UE. Sin embargo, su definición de información personal incluye identificadores en línea, datos de ubicación y otras asignaciones identificativas. Las cookies, los identificadores de dispositivo, las direcciones IP y los píxeles de seguimiento que pueden identificar a un visitante son, por tanto, información personal, e instalarlos es un tratamiento que necesita una base legal y debe cumplir las ocho condiciones.

En la práctica, esto significa:

• Las cookies estrictamente necesarias (seguridad, balanceo de carga, carrito de compra) suelen poder basarse en el contrato o el interés legítimo.
• Las cookies analíticas, publicitarias y de redes sociales son difíciles de justificar sin consentimiento, sobre todo cuando crean perfiles o comparten datos con terceros fuera de Sudáfrica.
• La transparencia exige un aviso de cookies claro que explique qué se recopila, quién lo hace y por qué.
• El consentimiento debe poder demostrarse, así que necesita registros de quién aceptó qué y cuándo.

Un banner de cookies que bloquee las etiquetas no esenciales hasta que el visitante acepte, y que guarde un registro de cada elección, es la forma más práctica de cumplir la POPIA en el seguimiento web.

Derechos de los interesados según la POPIA

Los interesados tienen derecho a:

• Ser informados de que se recopila su información personal y ser notificados de una brecha de seguridad.
• Solicitar acceso a su información personal.
• Solicitar la corrección, destrucción o eliminación de su información personal.
• Oponerse al tratamiento por motivos razonables y oponerse al tratamiento con fines de marketing directo.
• No recibir marketing directo electrónico no solicitado sin su consentimiento.
• No ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos o significativos.
• Presentar una reclamación ante el Information Regulator.
• Iniciar acciones civiles por daños y perjuicios.

Un portal de privacidad de autoservicio y un proceso DSAR claro facilitan recibir, verificar y responder a estas solicitudes a tiempo.

Registro del Information Officer

Toda organización tiene un Information Officer. En una empresa privada es, por defecto, el máximo responsable de la organización, como el CEO, que puede delegar funciones en uno o varios Deputy Information Officers. La sección 55(2) exige que los Information Officers estén registrados ante el Information Regulator antes de asumir sus funciones. El registro se realiza a través del portal eServices de la autoridad.

El Information Officer se encarga de fomentar el cumplimiento, gestionar las solicitudes de los interesados, colaborar con la autoridad durante las investigaciones y desarrollar un marco de cumplimiento y un manual PAIA. Su función es similar a la del Delegado de Protección de Datos (DPO) del RGPD.

Transferencias internacionales (sección 72)

Una parte responsable solo puede transferir información personal a un tercero en un país extranjero si:

• El destinatario está sujeto a una ley, normas corporativas vinculantes o un acuerdo vinculante que ofrezca un nivel de protección adecuado, sustancialmente similar a las condiciones de la POPIA;
• El interesado consiente la transferencia;
• La transferencia es necesaria para ejecutar un contrato con el interesado o para adoptar medidas precontractuales a petición suya;
• La transferencia es necesaria para un contrato celebrado con un tercero en interés del interesado; o
• La transferencia beneficia al interesado, no es razonablemente factible obtener su consentimiento y es probable que lo daría.

Los sitios web que cargan herramientas de analítica, publicidad o chat alojadas en el extranjero transfieren información personal fuera de Sudáfrica, por lo que estas normas afectan a cada script de terceros de su sitio.

Notificación de brechas de seguridad (sección 22)

Si existen motivos razonables para creer que una persona no autorizada ha accedido a información personal o la ha obtenido, la parte responsable debe notificarlo al Information Regulator y a los interesados afectados tan pronto como sea razonablemente posible. Los operadores deben informar a la parte responsable de inmediato.

Desde abril de 2025, el Information Regulator exige que las brechas de seguridad se notifiquen a través de su portal eServices, y ya no se aceptan notificaciones por correo electrónico. A diferencia del RGPD, la POPIA no establece un plazo fijo de 72 horas ni un umbral de riesgo: toda brecha debe notificarse.

El Reglamento de la POPIA modificado en 2025

El Information Regulator publicó modificaciones del Reglamento de la POPIA, vigentes desde el 17 de abril de 2025. Los principales cambios son:

• Un opt-out no constituye consentimiento para el marketing directo electrónico.
• El consentimiento para marketing directo puede solicitarse en un formato sustancialmente similar al Formulario 4 y por más canales.
• Más vías para que los interesados se opongan, soliciten correcciones y presenten reclamaciones, y más personas legitimadas para reclamar.
• Un procedimiento de reclamación más ágil.

Sanciones de la POPIA

La POPIA se aplica mediante sanciones penales, multas administrativas y acciones civiles:

La autoridad también puede emitir requerimientos de ejecución (enforcement notices) que obligan a una organización a detener o modificar su tratamiento. El daño reputacional de un requerimiento público puede costar más que la propia multa.

POPIA vs RGPD

La POPIA se inspiró en gran medida en la normativa de protección de datos de la UE, por lo que las organizaciones que ya trabajan en el cumplimiento del RGPD parten con ventaja. Las principales diferencias:

Vea cómo se comparan otros países en nuestro resumen de leyes de privacidad globales.

Lista de verificación POPIA para sitios web

1. Registre a su Information Officer y a los Deputy Information Officers en el portal eServices de la autoridad.
2. Mapee sus datos: enumere cada formulario, cookie, etiqueta y herramienta de terceros que recopile información personal.
3. Escanee su sitio web en busca de cookies y rastreadores, y clasifíquelos.
4. Implemente un banner de cookies que explique cada finalidad y bloquee las cookies no esenciales hasta obtener el consentimiento.
5. Conserve registros de consentimiento para demostrar quién consintió, a qué y cuándo.
6. Publique un aviso de privacidad claro con la información exigida por la sección 18, además de una política de cookies.
7. Use consentimiento opt-in para el marketing por correo electrónico y SMS, e incluya un enlace de baja en cada mensaje.
8. Revise las transferencias internacionales a proveedores de analítica, ad tech y nube según la sección 72.
9. Firme acuerdos con los operadores que les obliguen a proteger la información y a notificar las brechas.
10. Establezca un proceso para las solicitudes de los interesados, incluidos el acceso, la corrección y la eliminación.
11. Prepare un plan de respuesta ante brechas que incluya la notificación a través del portal eServices.
12. Revise periódicamente, sobre todo cuando añada nuevas etiquetas o herramientas de marketing.

Cómo ayuda UniConsent a cumplir la POPIA

UniConsent es una plataforma de gestión del consentimiento que convierte la parte web de la POPIA en unos pocos ajustes sencillos:

• Banner de cookies: un banner y un aviso personalizables que explican cada finalidad con un lenguaje claro y en varios idiomas.
• Escaneo de cookies: detección y clasificación automáticas de las cookies y rastreadores de su sitio.
• Bloqueo previo: las etiquetas de analítica, publicidad y redes sociales permanecen bloqueadas hasta que el visitante da su consentimiento.
• Registros de consentimiento: cada elección se guarda con fecha y hora, lo que le da una prueba del consentimiento si la autoridad la solicita.
• Centro de preferencias: los visitantes pueden cambiar o retirar su consentimiento en cualquier momento, con la misma facilidad con que lo dieron.
• Portal de privacidad: un único lugar para enviar solicitudes de acceso, corrección y eliminación.
• Google Consent Mode v2 e IAB TCF: las señales de consentimiento llegan automáticamente a sus herramientas de analítica y publicidad.
• Cobertura global: una sola configuración cubre la POPIA, el RGPD y muchas otras leyes de privacidad, con reglas según la ubicación del visitante.

Empiece gratis con UniConsent y prepare su sitio web para la POPIA en minutos.

Esta guía tiene fines meramente informativos y no constituye asesoramiento jurídico.